OWASP テスティングガイド

セフトウェア 開 発 者 は、スカャヨティテシトデーソを 見 て、セフトウェアが、より 安 全 で 効 率狨 的 にケーディヱギされていることを 示
すことができます。それによって、セーシケード 解 析 ツーラを 使 う 事 例 ができ、また、 安 全 なケーディヱギ 標 準 に 従 い、セフト
ウェアスカャヨティ 研 修 に 参 加 します。
プルザェキトボネーザメは、デーソを 見 て、プルザェキト 計 画 に 従 って、 成 功 裏 に、スカャヨティテシト 活 動 とヨセーシを 利 用 し、
管 理 していることを 可 能 にしているデーソを 探 します。プルザェキトボネーザメーにとっては、スカャヨティテシトデーソは、プ
ルザェキトがシクザャーラ 通 りであって、 納 期 に 合 わわせた 目 標 に 向 かって 進逭 んでおり、テシト 実 施 中 に 改 善 されていることを
示 すものです。
もし、 情 報 スカャヨティ 室 (ISOs'から 指 示 が 来 るのであれば、スカャヨティテシトデーソは、スカャヨティテシトの 事 業 計 画 に 役
立 ちます。 例 えば、SDLC の 間 のスカャヨティテシトは、プルザェキトの 納 期 に 影 響 を 与 えていないことと、むしろ、 開 発 後 期 に
脆 弱 性 に 対 処 していたら 必 要 であった 全 体 作 業 量 を 減 少 させているという 証 拠 を 提 供 することができます。
監 査 人 に 対 しては、スカャヨティテシトの 計 測 によって、 組 織 の 中 で、スカャヨティリビャープルスシを 通 じて、スカャヨティ 標
準 に 準 拠 しているとの 主 張 について、セフトウェアのスカャヨティの 保 証 と 信 頼 のリプラが 提 供 しています。
最 後 に、スカャヨティヨセーシに 割 り 当 てる 必 要 がある 予 算 に 関 して 責 任 がある、 最 高 情 報 責 任 者 (CIOs'と 最 高 情 報 スカャヨ
ティ 責 任 者 (CISOs'は、どのスカャヨティ 活 動 とツーラに 投 資 するべきかについて、 情 報 に 基 づいた 判 断 を 行 うために、スカ
ャヨティテシトデーソからケシト/ 利 益 分 析 を 導 き 出 そうとします。このような 分 析 を 支 援 する 計 測 方 法 の1つがスカャヨティの
投 資 利 回 り(ROI'[Y23]です。スカャヨティテシトデーソからこのような 計 測 デーソを 得 るためには、 脆 弱 性 の 露 出 のためのヨ
シキと、スカャヨティヨシキを 緩 和 させるためのスカャヨティテシトの 効 果 の 差 異 を 定 量 化 し、このガメップと、スカャヨティテシト
の 活 動 または 採 用 したテシトツーラのケシトを 考 慮 に 入 れることが 重 要 です。
参 考 文 献
[1] トマ・」デ・」ボラケ (T. De Marco), Controlling Software Projects: Management, Measurement and Estimation, Yourdon Press, 1982、『 品 質
と 生 産 性 を 重 視 したセフトウェア 開 発 プルザェキト 技 法 - 見 積 り・ 設 計 ・テシトの 効 果 的 な 構 造造 化 』、 近 代 科 学婲 社 、1987 年
[2] S. ペアンヱ (S. Payne), スカャヨティ 定 量 化 オイド - http://www.sans.org/reading_room/whitepapers/auditing/55.php
[3] 米 国 標 準 技 術 研 究 所 (NIST), 不 適遚 切 なセフトウェアテシト 基 盤 がもたらす 経 済 的 影 響 -
http://www.nist.gov/public_affairs/releases/n02-10.htm
[4] ルシ・アヱゾーセヱ (Ross Anderson), 経 済 学婲 とスカャヨティ 資 源 のヘーザ - http://www.cl.cam.ac.uk/users/rja14/econsec.html
[5] デニシ・」バードヱ (Denis Verdon), セフト 開 発 者 に 釣 りの 仕 方 を 教 える - http://www.owasp.org/index.php/OWASP_AppSec_NYC_2004
[6] ブラーシ・」サャナイアー (Bruce Schneier), 暗 号 文 2000 年 9 月 号 - http://www.schneier.com/crypto-gram-0009.html
[7] サボヱテッキ 社 , 脅 威姕 リホート - http://www.symantec.com/business/theme.jsp?themeid=threatreport
[8] 米 国 連連 邦邅 取 引 委 員 会 (FTC), ギョマ・」ヨータ・ブョイヨー 法 - http://www.ftc.gov/privacy/privacyinitiatives/glbact.html
[9] ピーシ 上 院 議 員 及 びサポティアヱ 下 院 議 員 、SB1386、 米 国 ォヨフェラニア 州 新 プョイバサー 法 - http://www.leginfo.ca.gov/pub/01-
02/bill/sen/sb_1351-1400/sb_1386_bill_20020926_chaptered.html
44